Jump to content
Melde dich an, um diesen Inhalt zu abonnieren  
pj1986

Herausfinden auf welchem Host ein Account gesperrt wurde

Empfohlene Beiträge

Hallo zusammen,

 

ich habe folgendes Problem:

 

Wir betreiben eine Domäne mit zwei W2K8 R2 Standard Domänencontrollern. In dieser Domäne gibt es mehrere Benutzer die sich darüber beklagen das sich ihre Accounts in unregelmäßigen Abständen aus nicht erklärlichen Gründen sperren.

 

Nun würde ich gerne herausfinden auf welchem Host und zu welcher Zeit ein entsprechender Account gesperrt wurde.

 

Gibt es da ein Tool für und wenn ja wo bekomme ich dieses bzw. wie wird es bedient.

 

Ich hoffe ihr könnt mir bei meinem Problem weiterhelfen.

 

Viele Grüße

 

pj1986

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen
Hi pj1986, willkommen an Bo(a)rd, :)

 

schau einmal hier hinein: Account Lockout Tools

 

Viele Grüße

olc

 

Erstmal vielen dank für die nette Begrüßung an Bo(a)rd :-P

 

Das Tool habe ich bei meiner Suche auch schon gefunden, jedoch muss ich ehrlich zugeben das ich nicht genau weiß wie ich es einstellen muss. Ich kann damit zwar herausfinden das der entsprechende Account gesperrt ist und welcher DC den Account gesperrt hat, jedoch habe ich es bis jetzt noch nicht geschafft auch eine Aussage darüber zu bekommen auf welchem Clientrechner die Fehlanmeldungen waren.

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen
Hi,

 

such mal am DC im Sicherheits Protokoll nach EventID 4776.

Vorausgesetzt das solche Ereignisse protokolliert werden.

 

Danke für die schnelle Antwort. Ich habe gerade mal nach der EventID gefiltert, jedoch wird leider mein Testaccount den ich kurz vorher absichtlich gesperrt habe nicht angezeigt. Wo müsste ich denn die Protokollierung einstellen? Also in welcher GP?

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Hi,

 

Kurzfassung: LockoutStatus.exe, den sperrenden DC prüfen und dort ins Eventlog schauen. ;)

 

Langfassung: Ein DC Deiner Umgebung sperrt den Account. Auf diesem DC ist die Information von welchem Client die Fehleingabe initiiert wurde im Security Eventlog gespeichert.

 

Der PDCe bekommt die Information, und loggt sie ebenfalls im Ereignisprotokoll Security, jedoch steht hier anstatt des auslösenden Clients der DC, der den Account gesperrt hat.

 

Du benötigst also die Information vom sperrenden DC (Lockoutstatus.exe gibt Dir diese Information sehr übersichtlich) und dort schaust Du ins Security Eventlog (die Zeit, die Du Dir anschauen mußt, siehst Du auch in Lockoutstatus.exe --> Last BadPwd).

 

Viele Grüße

olc

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Hi,

 

am DC ... Local Security Settings > Local Policies > Audit Policy > Audit logon event auf Failure

 

oder (besser) über die Default Domain Controllers Policy bei den Gruppenrichtlinien.

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen
Hi,

 

Kurzfassung: LockoutStatus.exe, den sperrenden DC prüfen und dort ins Eventlog schauen. ;)

 

Langfassung: Ein DC Deiner Umgebung sperrt den Account. Auf diesem DC ist die Information von welchem Client die Fehleingabe initiiert wurde im Security Eventlog gespeichert.

 

Der PDCe bekommt die Information, und loggt sie ebenfalls im Ereignisprotokoll Security, jedoch steht hier anstatt des auslösenden Clients der DC, der den Account gesperrt hat.

 

Du benötigst also die Information vom sperrenden DC (Lockoutstatus.exe gibt Dir diese Information sehr übersichtlich) und dort schaust Du ins Security Eventlog (die Zeit, die Du Dir anschauen mußt, siehst Du auch in Lockoutstatus.exe --> Last BadPwd).

 

Viele Grüße

olc

 

Super :-) Vielen Dank. Hab meine Infos gefunden. Dank der super Beschreibung echt einfach. Man muss halt nur wissen wie :-)

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen
Hi,

 

am DC ... Local Security Settings > Local Policies > Audit Policy > Audit logon event auf Failure

 

oder (besser) über die Default Domain Controllers Policy bei den Gruppenrichtlinien.

 

Hab ich gerade genauso eingestellt. Dankeschön für die schnelle Hilfe

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Hallo zusammen,

der Beitrag ist zwar schon etwas älter, für mich aber grade sehr aktuell.

Ich versuche auch herauszufinden von welchem Computer ein Domänen-Account gesperrt (wegen PW Falscheingabe) wurde. Obwohl ich üer GPO das Audit Logon (im Deutschen: Computerkonfiguration - Richtlinien - Windows Einstellungen - Sicherheitseinstellungen - Lokale Richtlinien / Überwachungsrichtlinie) aktiviert habe (Anmeldeereignisse: Erfolgreich, Fehler; Anmeldeversuche: Erfolgreich, Fehler), schreibt er mir nur die erfolgreichen Logonversuche (ID 4624) in das Securitylog, nicht aber die fehlgeschlagenen. Müsste ja ID4625 sein. Da finde ich keinen einzigen Eintrag dazu.

Das Programm lockoutstatus.exe zeigt mir aber auch den DC an bei dem die fehlgeschlagenen Versuche aufgeschlagen sind.

 

Kann mir jemand sagen wo ich noch nachschauen kann wurum die fehlgeschlagenen Loginversuche nicht protokolliert werden? (Server 2008)

 

Vielen Dank

Mister_M

bearbeitet von Mister_M

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen

Erstell bitte einen eigenen neuen Thread. Fremde und alte Threads kapert man nicht, Danke. Steht auch so in den Regeln dieses Boards: http://www.mcseboard.de/topic/191452-mcseboardde-regeln-nutzungsbedingungen/

 

Regel Nr. 7: Keine Overtakes

Versucht nicht Beiträge anderer Autoren mit Euren Fragen zu anderen Themen zu übernehmen. Eröffnet ggf. einen eigenen Beitrag.

Diesen Beitrag teilen


Link zum Beitrag
Auf anderen Seiten teilen
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte überlege Dir, ob es nicht sinnvoller ist ein neues Thema zu erstellen.

Erstelle ein Benutzerkonto oder melde dich an, um zu kommentieren

Du musst ein Benutzerkonto haben, um einen Kommentar verfassen zu können

Benutzerkonto erstellen

Neues Benutzerkonto für unsere Community erstellen. Es ist einfach!

Neues Benutzerkonto erstellen

Anmelden

Du hast bereits ein Benutzerkonto? Melde dich hier an.

Jetzt anmelden
Melde dich an, um diesen Inhalt zu abonnieren  

×